NtPrivilegedServiceAuditAlarm

Prototyp

NTSTATUS NtPrivilegedServiceAuditAlarm(
  PUNICODE_STRING SubsystemName,
  PUNICODE_STRING ServiceName,
  HANDLE          ClientToken,
  PPRIVILEGE_SET  Privileges,
  BOOLEAN         AccessGranted
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 44 01 00 00      mov eax, 0x144
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Geschwister-Syscall von NtPrivilegeObjectAuditAlarm — gleiche Form, aber für service-level (kein Pro-Handle-Objekt) privilegierte Operationen. Erzeugt das Security-Event 4673 ("Ein privilegierter Dienst wurde aufgerufen"). Kanonisches Aufrufer-Muster: eine Service-Mode-Komponente (z. B. der Service Control Manager beim Laden eines Kernel-Treibers via SeLoadDriverPrivilege oder das Plug-and-Play-Subsystem beim Aufruf von SeUndockPrivilege) möchte die Aktion unter ihrer eigenen Service-Identität protokolliert haben. Das 4673-Event enthält den hier übergebenen Service-Namen, die genutzten Privilegien und die User-SID des Client-Tokens.

Häufige Malware-Nutzung

Im Wesentlichen null in Commodity-Malware. Der Zweck des Syscalls ist gerade, eine Spur zu hinterlassen — das Gegenteil des Ziels eines Malware-Operators. Die wenigen In-the-Wild-Beobachtungen sind MS-signierte Komponenten in normaler Arbeit. Werkzeuge wie Mimikatz, die SeDebugPrivilege schwingen, rufen diesen Syscall nie auf — sie üben das Privileg lautlos aus, weil der Object Manager Privilegiennutzung nicht automatisch auditiert.

Erkennungs­möglichkeiten

Das 4673-Eventvolumen auf einer sauberen Workstation wird von einer kleinen Menge legitimer Operationen dominiert (Treiber-Loads, geplante-Task-Läufe als SYSTEM, WMI-Provider-Starts). Verteidiger sollten 4673 nach (ServiceName, PrivilegeList, ClientUserSid) baselinen und auf neue Tupel alarmieren. Anmerkung: das *Fehlen* eines 4673 rund um eine SeLoadDriverPrivilege-Nutzung (über SCM-Event 7045 verifizierbar) ist weit interessanter als deren Anwesenheit — es deutet entweder auf einen Non-SCM-Treiber-Load (T1547.006) oder auf Audit-Log-Tampering (T1562.002). Defender for Endpoint zeigt äquivalente Telemetrie über die DeviceProcessEvents- und DeviceEvents-Tabellen.

Direkte Syscall-Beispiele

; Direct syscall stub for NtPrivilegedServiceAuditAlarm (SSN 0x144, Win11 24H2)
NtPrivilegedServiceAuditAlarm PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 144h         ; SSN
    syscall
    ret
NtPrivilegedServiceAuditAlarm ENDP

// A backup component holding SeBackupPrivilege wants to explicitly record
// a 4673 every time it begins a privileged enumeration pass.

LUID seBackupLuid;
LookupPrivilegeValueW(NULL, SE_BACKUP_NAME, &seBackupLuid);

struct {
    PRIVILEGE_SET ps;
} pset = {
    .ps = { .PrivilegeCount = 1, .Control = PRIVILEGE_SET_ALL_NECESSARY,
            .Privilege = {{ .Luid = seBackupLuid, .Attributes = SE_PRIVILEGE_USED_FOR_ACCESS }} }
};

UNICODE_STRING sub = RTL_CONSTANT_STRING(L"Security");
UNICODE_STRING svc = RTL_CONSTANT_STRING(L"ContosoBackupService");

NTSTATUS s = NtPrivilegedServiceAuditAlarm(
    &sub, &svc,
    hClientToken,
    &pset.ps,
    TRUE);   // success

// Resulting Security event 4673 records:
//   Subject  : NT AUTHORITY\SYSTEM (the service)
//   Service  : ContosoBackupService
//   Privilege: SeBackupPrivilege

use windows_sys::Win32::Security::Authorization::PrivilegedServiceAuditAlarmW;
use windows_sys::Win32::Security::*;

unsafe {
    let ok = PrivilegedServiceAuditAlarmW(
        windows_sys::w!("Security"),
        windows_sys::w!("ContosoBackupService"),
        client_token,
        &priv_set as *const _ as *mut _,
        1, // access_granted
    );
    // ok != 0 -> Security 4673 emitted (subject to "Audit Privilege Use" policy).
}

MITRE ATT&CK-Mappings

• T1562.002Impair Defenses: Disable Windows Event Loggingmitre ↗
• T1547.006Boot or Logon Autostart Execution: Kernel Modules and Extensionsmitre ↗